由于IIS(即Internet Information Server)的利便性和易用性，使它成为受欢迎的Web服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web服务器，是良多人关心的话题。要创建一个安全可靠的Web服务器，必需要实现Windows 2003和IIS的双重安全，由于IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依靠Windows的NTFS文件系统的权限控制，所以保护IIS安全的步就是确保Windows 2000操纵系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严峻的后果。

我们通过以下几个方面临您的系统进行安全加固：

1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体进步服务器的安全性。

2. IIS手工加固：手工加固iis可以有效的进步iweb站点的安全性，公道分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。

3. 系统应用程序加固，提供给用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。

　　系统的安全加固：

1.目录权限的配置：

1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，假如WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，假如想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。

1.2 系统所在分区下的根目录都要设置为不继续父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。

1.3 由于服务器只有治理员有本地登录权限，所在要配置Documents and Settings这个目录权限只留存Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个躲藏目录也需要同样操纵。由于假如你安装有PCAnyWhere那么他的的配置信息都保留在其下，使用webshell或FSO可以轻松的调取这个配置文件。

1.4 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。

1.5 配置Windows目录，实在这一块主要是根据自身的情况假如使用默认的安全设置也是可行的，不外仍是应该进入SYSTEM32目录下，将 cmd.exe、ftp.exe、net.exe、scrrun.dll、shell.dll这些杀手锏程序赋予匿名帐号拒绝访问。

1.6审核MetBase.bin，C:\WINNT\system32\inetsrv目录只有administrator只答应Administrator用户读写。

2.组策略配置:

在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;

启用不答应匿名访问SAM帐号和共享;

启用不答应为网络验证存储凭据或Passport;

从文件共享中删除答应匿名登录的DFS$和COMCFG;

启用交互登录：不显示上次的用户名;

启用在下一次密码变更时不存储LANMAN哈希值;

禁止IIS匿名用户在本地登录;

　　3.本地安全策略设置:

开始菜单—>治理工具—>本地安全策略

　　A、本地策略——>审核策略

审核策略更改　成功　失败

审核登录事件　成功　失败

审核对象访问失败

审核过程跟踪　无审核

审核目录服务访问失败

审核特权使用失败

审核系统事件　成功　失败

审核账户登录事件　成功　失败

审核账户治理　成功　失败

注：在设置审核登陆事件时选择记失败，这样在事件查看器里的安全日志就会记实登陆失败的信息。

　　B、本地策略——>用户权限分配

封闭系统：只有Administrators组、其它全部删除。

通过终端服务拒绝登陆：加入Guests、User组

通过终端服务答应登陆：只加入Administrators组，其他全部删除

　　C、本地策略——>安全选项

交互式登陆：不显示上次的用户名　启用

网络访问：不答应SAM帐户和共享的匿名枚举启用

网络访问：不答应为网络身份验证储存凭证　启用

网络访问：可匿名访问的共享　全部删除

网络访问：可匿名访问的命全部删除

网络访问：可远程访问的注册表路径全部删除

网络访问：可远程访问的注册表路径和子路径全

程序都不使用 asp，请禁用该组件;或使用 web 服务扩展禁用它。

internet 数据连接器

禁用

通过扩展名为 .idc 的文件提供动态内容支持。假如 iis 服务器中的 web 站点和应用程序都不包括 .idc 扩展文件，请禁用该组件;或使用 web 服务扩展禁用它。

远程治理 (html)

禁用

提供治理 iis 的 html 界面。改用 iis 治理器可使治理更轻易，并减少了 iis 服务器的攻击面。专用 iis 服务器不需要该功能。

远程桌面 web 连接

禁用

包括了治理终端服务客户端连接的 microsoft activex? 控件和范例页面。改用 iis 治理器可使治理更轻易，并减少了 iis 服务器的攻击面。专用 iis 服务器不需要该组件。

服务器端包括

禁用

提供 .shtm、.shtml 和 .stm 文件的支持。假如在 iis 服务器中运行的 web 站点和应用程序都不使用上述扩展的包括文件，请禁用该组件。

webdav

禁用

webdav 扩展了 http/1.1 协议，答应客户端发布、锁定和治理 web 中的资源。专用 iis 服务器禁用该组件;或使用 web 服务扩展禁用该组件。

　　万维网服务

启用

为客户端提供 web 服务、静态和动态内容。专用 iis 服务器需要该组件

3. 将iis目录&数据与系统磁盘分开，保留在专用磁盘空间内。

4. 在iis治理器中删除必需之外的任何没有用到的映射(留存asp等必要映射即可)

5. 在iis中将http404 object not found犯错页面通过url重定向到一个定制htm文件

6. web站点权限设定(建议)

web 站点权限：

授予的权限：

读 答应

写 不答应

脚本源访问 不答应

目录浏览 建议封闭

日志访问 建议封闭

索引资源 建议封闭

执行 推荐选择 "仅限于脚本"

7. 建议使用w3c扩充日志文件格局，天天记实客户ip地址，用户名，服务器端口，方法，uri字根，http状态，用户代办代理，而且天天均要审查日志。(好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只答应治理员和system为full control)。

    8. 程序安全:

1) 涉及用户名与口令的程序好封装在服务器端，尽量少的在asp文件里泛起，涉及到与数据库连接地用户名与口令应给予小的权限; 2) 需要经由验证的asp页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。

防止asp主页.inc文件泄露题目;

4) 防止ue等编纂器天生some.asp.bak文件泄露题目。

安全更新

应用所需的所有 service pack 和按期手动更新补丁。

安装和配置防病毒保护

推荐nav 8.1以上版本病毒防火墙(配置为至少每周自动进级一次)。

安装和配置防火墙保护

推荐新版blackice server protection防火墙(配置简朴，比较实用)

监督解决方案

根据要求安装和配置 mom代办代理或类似的监督解决方案。

加强数据备份

web数据定时做备份，保证在泛起题目后可以恢复到近的状态。

9. 删除不必要的应用程序映射

ISS中默认存在良多种应用程序映射，除了ASP的这个程序映射，其他的文件在网站上都很少用到。

在“Internet 服务治理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“主目录”页面中，点击[配置]按钮，弹出“应用程序配置”对话框，在“应用程序映射”页面，删除无用的程序映射。假如需要这一类文件时，必需安装新的系统修补补丁，并且选中相应的程序映射，再点击[编纂]按钮，在“添加/编纂应用程序扩展名映射”对话框中勾选“检查文件是否存在”选项。这样当客户哀求这类文件时，IIS会先检查文件是否存在，文件存在后才会去调用程序映射中定义的动态链接库来解析。

保护日志安全

日志是系统安全策略的一个重要环节，确保日志的安全能有效进步系统整体安全性。

修改IIS日志的存放路径

默认情况下，IIS的日志存放在%WinDir%/System32/LogFiles，黑客当然非常清晰，所以好修改一下其存放路径。在 “Internet服务治理器”中，右击网站目录，选择“属性”，在网站目录属性对话框的“Web站点”页面中，在选中“启用日志记实”的情况下，点击旁边的[属性]按钮，在“常规属性”页面，点击[浏览]按钮或者直接在输入框中输入日志存放路径即可。

sql服务器安全加固

安装新的mdac(http://www.microsoft.com/data/download.htm)

5.1 密码策略

因为sql server不能更改sa用户名称，也不能删除这个超级用户，所以，我们必需对这个帐号进行强的保护，当然，包括使用一个非常强壮的密码，好不要在数据库应用中使用sa帐号。新建立一个拥有与sa一样权限的超级用户来治理数据库。同时养成按期修改密码的好习惯。数据库治理员应该按期查看是否有不符合密码要求的帐号。好比使用下面的sql语句：

use master

select name,password from syslogins where password is null

5.2 数据库日志的记实

核数据库登录事件的"失败和成功"，在实例属性中选择"安全性"，将其中的审核级别选定为全部，这样在数据库系统和操纵系统日志里面，就具体记实了所有帐号的登录事件。

5.3 治理扩展存储过程

xp_cmdshell是进入操纵系统的佳捷径，是数据库留给操纵系统的一个大后门。请把它去掉。使用这个sql语句：

use master

sp_dropextendedproc ’xp_cmdshell’

注：假如你需要这个存储过程，请用这个语句也可以恢复过来。

sp_addextendedproc ’xp_cmdshell’, ’xpsql70.dll’

ole自动存储过程(会造成治理器中的某些特征不能使用)，这些过程包括如下(不需要可以全部去掉：

sp_oacreate sp_oadestroy sp_oageterrorinfo sp_oagetproperty

sp_oamethod sp_oasetproperty sp_oastop

去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操纵系统治理员的密码来，如下：

xp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumvalues

xp_regread xp_regremovemultistring xp_regwrite

5.4 防tcp/ip端口探测

在实例属性中选择tcp/ip协议的属性。选择躲藏 sql server 实例。

请在上一步配置的基础上，更改原默认的1433端口。

在ipsec过滤拒绝掉1434端口的udp通信，可以尽可能地躲藏你的sql server。

　　对网络连接进行ip限制

使用操纵系统自己的ipsec可以实现ip数据包的安全性。请对ip连接进行限制，保证只有自己的ip能够访问，拒绝其他ip进行的端口连接。

通过以上的配置，禁止了服务器开放不必要的端口，防止服务被植入后门程序，通过配置目录权限可以防止入侵者拿到welshell后提权，加强了服务器的安全性，避免了对服务器的攻击和加强了TCP协议栈。通过iis的配置进步了iis的安全性和不乱性。修改了sql server的默认端口，可以防止恶意用户对服务器进行扫描尝试暴力破解sa账户提供数据库的安全性。对服务器实现了整体的安全加固。